ASP.NET Core中配置Kestrel允许但不主动请求客户端证书

要实现「接受客户端证书但不主动请求」的目标，你可以通过调整Kestrel配置+自定义中间件的方式解决，既避免Chrome弹出证书窗口，又不影响WSS连接，同时满足HTTPS API的证书验证需求：

1. 修改Kestrel客户端证书模式
   将Kestrel配置中的ClientCertificateMode设置为NoCertificate，这样服务在TLS握手阶段不会主动向客户端请求证书，自然不会触发浏览器的证书选择弹窗：

ClientCertificateMode = ClientCertificateMode.NoCertificate

2. 针对HTTPS API添加证书验证中间件
   通过UseWhen中间件，仅对需要证书验证的HTTPS API路径开启证书校验，手动提取并验证客户端证书：

// 仅对指定的HTTPS API路径应用证书验证
app.UseWhen(context => context.Request.Path.StartsWithSegments("/api/secure-endpoints"), appBuilder =>
{
    appBuilder.Use(async (context, next) =>
    {
        // 从连接中手动提取客户端证书
        var clientCert = context.Connection.ClientCertificate;

        if (clientCert == null)
        {
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            await context.Response.WriteAsync("缺少有效客户端证书");
            return;
        }

        // 执行自定义证书验证逻辑（根据你的业务需求实现）
        if (!IsValidClientCertificate(clientCert))
        {
            context.Response.StatusCode = StatusCodes.Status403Forbidden;
            await context.Response.WriteAsync("客户端证书无效");
            return;
        }

        // 验证通过，继续执行后续中间件
        await next();
    });
});

// 示例证书验证方法，根据实际需求修改
private bool IsValidClientCertificate(X509Certificate2 certificate)
{
    // 示例验证逻辑：检查证书有效期、信任链、颁发者等
    return certificate.NotBefore <= DateTime.Now && certificate.NotAfter >= DateTime.Now;
}

3. 确保WSS端点无需证书验证
   你的WSS端点无需添加上述证书验证中间件，这样Chrome就能正常完成WSS连接的TLS握手，不会被证书请求打断。

核心逻辑说明 #

• NoCertificate模式让Kestrel不主动发起证书请求，从根源上避免了Chrome的弹窗问题，同时客户端仍可主动发送证书。
• 通过路径匹配的中间件，仅对需要证书的HTTPS API做校验，实现了不同端点的差异化处理，兼顾了API安全和WSS连接的可用性。

内容的提问来源于stack exchange，提问作者user1722361